Fremde Spam-Seiten in den Google-Ergebnissen, Weiterleitungen auf dubiose Shops, eine rote Browser-Warnung — deine WordPress-Website wurde gehackt. Das ist ernst, aber lösbar. Entscheidend ist die Reihenfolge: Wer sofort „aufräumt“, ohne das Einfallstor zu schließen, ist in einer Woche wieder infiziert.
Phase 1: Eindämmen (die erste Stunde)
- Ruhe bewahren, nichts löschen. Panisches Löschen zerstört Spuren, die du gleich brauchst.
- Alle Passwörter ändern: WordPress-Admins, FTP/SSH, Hosting-Panel, Datenbank — in dieser Reihenfolge, mit jeweils neuen, einzigartigen Passwörtern. Der Angreifer hat mindestens einen dieser Zugänge.
- Unbekannte Admin-Konten löschen: Unter Benutzer → Administratoren jedes Konto prüfen, das du nicht selbst angelegt hast.
- Website ggf. offline nehmen: Verteilt die Seite aktiv Malware an Besucher, ist ein Wartungsmodus mit 503 fair gegenüber Besuchern und Rankings.
Phase 2: Befund erheben
- Zeitpunkt eingrenzen: Wann trat das Symptom erstmals auf? Server-Logs und Datei-Änderungsdaten rund um diesen Zeitpunkt zeigen oft den Angriffsweg.
- Scanner laufen lassen: Ein Malware-Scanner (z. B. der in NinjaFirewall oder Wordfence) findet bekannte Schadmuster. Wichtig: Scanner finden viel, aber nie alles — ein sauberer Scan ist noch kein Beweis für eine saubere Website.
- Typische Verstecke von Hand prüfen: veränderte
index.php,wp-config.php,.htaccess(Weiterleitungen!), fremde Dateien in/wp-content/uploads/(PHP-Dateien haben dort nichts verloren), unbekannte „Plugins“ und mu-plugins. - Google Search Console öffnen: Unter Sicherheit & manuelle Maßnahmen steht, was Google gefunden hat — oft präziser als der eigene Blick.
Phase 3: Bereinigen — zwei ehrliche Wege
Weg A: Wiederherstellung aus sauberem Backup. Der zuverlässigste Weg, wenn du ein Backup von vor der Infektion hast und den Zeitpunkt kennst. Danach sofort alle Updates einspielen und Passwörter erneut ändern — sonst kommt der Angreifer durch dieselbe Tür zurück.
Weg B: Manuelle Bereinigung. Ohne sauberes Backup: WordPress-Core komplett durch frische Dateien ersetzen (wp-admin, wp-includes, Root-Dateien außer wp-config.php), alle Plugins und Themes frisch von den Originalquellen installieren, uploads-Ordner auf PHP-Dateien durchsuchen, Datenbank auf fremde Admin-Konten und eingeschleuste Inhalte prüfen. Aufwendig — und genau der Punkt, an dem professionelle Hilfe ihr Geld wert ist.
In beiden Wegen gilt: Backdoors zuerst. Angreifer hinterlassen fast immer mehrere Hintertüren (unauffällige PHP-Dateien, präparierte Plugin-Dateien, Datenbank-Einträge). Wird nur die sichtbare Malware entfernt, ist die Neuinfektion Routine.
Phase 4: Einfallstor schließen
- Alles aktualisieren: Die meisten WordPress-Hacks laufen über bekannte Lücken in veralteten Plugins und Themes. Ungenutzte Erweiterungen: löschen, nicht nur deaktivieren.
- Zugänge härten: starke Passwörter, Zwei-Faktor-Authentifizierung, begrenzte Login-Versuche, xmlrpc.php abschalten.
- Rechte minimieren: Jeder Benutzer nur mit der Rolle, die er wirklich braucht; Datei-Editor im Admin deaktivieren (
DISALLOW_FILE_EDIT).
Phase 5: Reputation reparieren
- In der Search Console eine Überprüfung beantragen, sobald die Website sauber ist — die rote Warnung verschwindet meist innerhalb weniger Tage.
- Eingeschleuste Spam-Seiten aus dem Index entfernen (Search Console → Entfernungen).
- Falls personenbezogene Daten betroffen sein könnten (Shop, Formulare, Kundendaten): die 72-Stunden-Meldefrist nach Art. 33 DSGVO an die Aufsichtsbehörde im Blick behalten — im Zweifel rechtlichen Rat einholen.
Ein Hack ist fast nie „Pech“, sondern das Ergebnis von ungepatchten Lücken plus fehlender Überwachung. Genau diese beiden Hebel automatisiert Ammera Care: zeitnahe Updates mit Sicherheitsnetz im Core-Modul, täglicher Malware-Scan, Schwachstellen-Abgleich und Datei-Quarantäne im Shield-Modul — und externe Backups, die den Weg zurück immer offenhalten. Die Module im Überblick.
